the weakest link
expressãosegurança
O provérbio da corrente aplicado à segurança: a força real do sistema é seu componente mais negligenciado, não o melhor.
Atacantes não duelam com o seu controle mais forte; contornam - pela máquina sem patch, pela senha reutilizada, pelo humano prestativo. O corolário molda a estratégia: cobertura decente e uniforme vence uma muralha magnífica com uma brecha.
Uma corrente é tão forte quanto seu elo mais fraco e, em segurança, a observação é que o atacante escolhe onde atacar. Esforço gasto endurecendo algo já forte é desperdiçado se existe um caminho mais fraco, porque ninguém ataca o ponto forte quando há um fraco disponível.
A consequência prática é que defesa é problema de cobertura, e não de profundidade. A melhor criptografia do mundo não ajuda se a chave está num repositório, e um ambiente de produção endurecido não ajuda se as mesmas credenciais funcionam num servidor de homologação esquecido com uma cópia dos dados. Atacantes enumeram sistematicamente e encontram a coisa esquecida com confiabilidade, e é por isso que inventário é controle de segurança.
A metáfora tem um limite real que merece nome, porque ao pé da letra ela argumenta contra a defesa em camadas. Sistemas não são correntes únicas: defesa em profundidade significa que o atacante que rompe um elo encontra outro, e o modelo do queijo suíço descreve isso melhor. A síntese é que você precisa das duas leituras, já que um elo fraco isolado num caminho sem outros controles é fatal, e um elo fraco atrás de dois controles independentes é um achado, e não uma violação.
Também conhecido como: a chain is only as strong as its weakest link